2024 OWASP移動(dòng)應(yīng)用程序10大安全風(fēng)險(xiǎn)是OWASP(全球開放應(yīng)用軟件安全項(xiàng)目組織)基于專家共識(shí)，對(duì)最關(guān)鍵的移動(dòng)應(yīng)用程序安全風(fēng)險(xiǎn)進(jìn)行的排名。排名中提到的每個(gè)風(fēng)險(xiǎn)都代表著一個(gè)潛在的弱點(diǎn)，惡意行為者可利用這些弱點(diǎn)破壞移動(dòng)應(yīng)用程序數(shù)據(jù)、功能和隱私的保密性、完整性和可用性。這份名單是通過(guò)收集網(wǎng)絡(luò)安全專家對(duì)市場(chǎng)上最關(guān)鍵漏洞的反饋意見(jiàn)整理出來(lái)的，是開發(fā)人員、測(cè)試人員和安全專業(yè)人員積極解決移動(dòng)應(yīng)用程序中任何安全漏洞的重要資源，下文將詳細(xì)介紹移動(dòng)應(yīng)用程序10大安全風(fēng)險(xiǎn)及其防護(hù)建議。

一、憑據(jù)使用不當(dāng)

利用憑據(jù)使用不當(dāng)?shù)穆┒纯赡軐?dǎo)致數(shù)據(jù)盜竊、公司和客戶隱私受到侵犯、經(jīng)濟(jì)欺詐導(dǎo)致重大損失以及公司聲譽(yù)受損。

防護(hù)建議：

• 實(shí)施穩(wěn)健的加密：加密是移動(dòng)安全的基本原則之一。確保使用強(qiáng)大的加密方法傳輸和存儲(chǔ)包括憑證在內(nèi)的敏感數(shù)據(jù)。
• 執(zhí)行強(qiáng)密碼策略：強(qiáng)密碼要求用戶定期創(chuàng)建和更新復(fù)雜且唯一的密碼。
• 實(shí)施安全的身份驗(yàn)證方法：實(shí)施多因素和雙因素身份驗(yàn)證（2FA）將增加一層額外的安全性。 改進(jìn)會(huì)話管理：實(shí)施安全的會(huì)話管理實(shí)踐--會(huì)話在短暫的閑置后失效。

二、供應(yīng)鏈安全不足

供應(yīng)鏈安全不足的漏洞主要針對(duì)構(gòu)建和分發(fā)應(yīng)用程序的活動(dòng)。黑客可以利用第三方庫(kù)中的漏洞訪問(wèn)服務(wù)器后臺(tái)、篡改敏感數(shù)據(jù)并實(shí)施拒絕服務(wù)攻擊。

防護(hù)建議：

• 代碼簽名和完整性檢查：定期進(jìn)行完整性檢查和代碼簽名，以檢測(cè)對(duì)源代碼的未經(jīng)授權(quán)的修改。
• 依賴性掃描：定期進(jìn)行 SBOM 安全分析，更新應(yīng)用程序中使用的依賴性，跟蹤和識(shí)別整個(gè)軟件中的漏洞。
• 安全的構(gòu)建環(huán)境：定期更新和修補(bǔ)所有構(gòu)建基礎(chǔ)架構(gòu)組件，以防止和盡量減少漏洞。

三、不安全的身份驗(yàn)證/授權(quán)

用戶身份驗(yàn)證和授權(quán)問(wèn)題會(huì)導(dǎo)致執(zhí)行權(quán)限過(guò)大的功能操作，進(jìn)而導(dǎo)致敏感信息被盜。

防護(hù)建議：

• 實(shí)施基于令牌的身份驗(yàn)證：為每個(gè)用戶會(huì)話生成一個(gè)唯一的令牌并進(jìn)行驗(yàn)證。
• 基于角色的訪問(wèn)控制（RBAC）：定義并執(zhí)行用戶角色和權(quán)限。
• 添加多因素身份驗(yàn)證：這將要求用戶提供多種形式的身份驗(yàn)證，如密碼、OTP 和/或生物識(shí)別數(shù)據(jù)。
• 避免不安全的設(shè)計(jì)模式：通過(guò)認(rèn)真規(guī)劃威脅建模、積極主動(dòng)的漏洞管理、久經(jīng)考驗(yàn)的架構(gòu)模式和 SDLC，可以避免不安全的設(shè)計(jì)模式。

四、輸入/輸出驗(yàn)證不充分

沒(méi)有執(zhí)行充分?jǐn)?shù)據(jù)驗(yàn)證的應(yīng)用程序很容易受到這種威脅，存在 SQL 注入、普通注入或跨站點(diǎn)腳本攻擊的風(fēng)險(xiǎn)。

防護(hù)建議：

• 輸入驗(yàn)證：通過(guò)明確定義和遵守適當(dāng)?shù)臄?shù)據(jù)格式，執(zhí)行嚴(yán)格的輸入驗(yàn)證。使用輸入驗(yàn)證庫(kù)和框架自動(dòng)檢測(cè)和過(guò)濾惡意輸入。
• 參數(shù)化查詢：這些 SQL 查詢使用占位符來(lái)表示輸入值，而不是直接將值插入查詢字符串。然后在執(zhí)行查詢時(shí)用實(shí)際值替換占位符，有助于防止 SQL 注入。
• 輸出編碼：在向用戶瀏覽器發(fā)送應(yīng)用程序的輸出之前，對(duì)其中潛在的危險(xiǎn)字符進(jìn)行編碼或轉(zhuǎn)義。這可以防止攻擊者在網(wǎng)頁(yè)中注入惡意腳本或內(nèi)容。
• 數(shù)據(jù)白名單：它涉及指定可接受的數(shù)據(jù)輸入，只允許認(rèn)可的值。數(shù)據(jù)白名單可過(guò)濾用戶輸入，只允許使用預(yù)定義的值，從而提高安全性。

五、不安全通信

不安全通信通常發(fā)生在與服務(wù)器和外部服務(wù)交互的移動(dòng)應(yīng)用程序中。如果沒(méi)有強(qiáng)大的加密和安全措施（如 TLS/SSL），攻擊者就可以通過(guò)竊聽和中間人攻擊利用這些弱點(diǎn)，破壞數(shù)據(jù)的完整性和保密性。

防護(hù)建議：

• 使用HTTPS加密：部署SSL證書實(shí)現(xiàn)HTTPS加密，確保傳輸過(guò)程中對(duì)數(shù)據(jù)進(jìn)行加密，實(shí)現(xiàn)端到端加密，防止竊聽和數(shù)據(jù)篡改。
• 證書鎖定：這將幫助你驗(yàn)證服務(wù)器SSL證書的真實(shí)性。
•  API 安全措施：為 API 實(shí)施強(qiáng)大的身份驗(yàn)證機(jī)制，如 API 密鑰、OAuth 令牌和其他方法。

六、隱私控制不足

隱私控制不足意味著沒(méi)有足夠的安全措施，如強(qiáng)大的加密、訪問(wèn)控制、會(huì)話管理、同意方法等，來(lái)保證用戶和其他機(jī)密信息的安全。

防護(hù)建議：

• 采用安全編碼實(shí)踐：對(duì)開發(fā)人員進(jìn)行安全編碼實(shí)踐培訓(xùn)，并定期進(jìn)行代碼審查和靜態(tài)代碼分析，以識(shí)別和修復(fù)源代碼中的安全漏洞。
• 采用數(shù)據(jù)最小化和匿名化技術(shù)：采用數(shù)據(jù)最小化原則，只收集和保留最少的必要數(shù)據(jù)。數(shù)據(jù)匿名化有助于通過(guò)標(biāo)記化和哈希算法對(duì)敏感數(shù)據(jù)進(jìn)行匿名化處理，以減少發(fā)生漏洞時(shí)的暴露。
• 部署入侵檢測(cè)和防御系統(tǒng)（IDPS）：安裝和配置 IDPS，以監(jiān)控網(wǎng)絡(luò)流量并檢測(cè)未經(jīng)授權(quán)的訪問(wèn)或惡意活動(dòng)。將 IDPS 與集中式日志和監(jiān)控系統(tǒng)集成，有助于提供安全事件和事故的全面可見(jiàn)性。
• 實(shí)施強(qiáng)大的訪問(wèn)控制和身份驗(yàn)證機(jī)制：實(shí)施集中式身份管理解決方案，以簡(jiǎn)化組織的用戶身份驗(yàn)證和授權(quán)流程。
• 對(duì)靜態(tài)和傳輸中的敏感數(shù)據(jù)進(jìn)行加密：采用強(qiáng)大的加密算法（如 AES-256），對(duì)服務(wù)器、數(shù)據(jù)庫(kù)和存儲(chǔ)設(shè)備上存儲(chǔ)的敏感數(shù)據(jù)進(jìn)行加密。

七、二進(jìn)制保護(hù)不足

二進(jìn)制保護(hù)不足會(huì)使應(yīng)用程序面臨一系列風(fēng)險(xiǎn)，可能會(huì)危及應(yīng)用程序的機(jī)密性、完整性和可用性。

防護(hù)建議：

• 代碼混淆：通過(guò)增加復(fù)雜性來(lái)掩蓋程序邏輯和結(jié)構(gòu)，使逆向工程和利用具有挑戰(zhàn)性。
• 二進(jìn)制加固：應(yīng)用堆棧金絲雀、地址空間布局隨機(jī)化（ASLR）、數(shù)據(jù)執(zhí)行防護(hù)（DEP）和控制流完整性等技術(shù)。

八、安全配置錯(cuò)誤

常見(jiàn)的安全配置錯(cuò)誤是由于未更改默認(rèn)設(shè)置造成的。這些被認(rèn)為是云計(jì)算的首要漏洞。

防護(hù)建議：

• 集中式配置管理：利用集中式配置管理工具管理和執(zhí)行多個(gè)系統(tǒng)的安全配置。
• 網(wǎng)絡(luò)分段和防火墻：將關(guān)鍵系統(tǒng)和敏感數(shù)據(jù)與安全性較低的網(wǎng)絡(luò)部分隔離。
• 實(shí)施最低權(quán)限原則：僅授予用戶和流程所需的最低訪問(wèn)權(quán)限，以保證系統(tǒng)順利運(yùn)行。

九、不安全的數(shù)據(jù)存儲(chǔ)

不正確地存儲(chǔ)數(shù)據(jù)將使系統(tǒng)面臨漏洞，使得惡意行為者很容易通過(guò) root 或越獄技術(shù)查看應(yīng)用程序數(shù)據(jù)。在移動(dòng)開發(fā)過(guò)程中，數(shù)據(jù)泄露最常見(jiàn)于無(wú)文檔記錄或文檔記錄不足的內(nèi)部流程中。

防護(hù)建議：

• 采用嚴(yán)格的輸入驗(yàn)證來(lái)阻止 SQL 注入嘗試。
• 利用參數(shù)化查詢或存儲(chǔ)過(guò)程對(duì)用戶輸入數(shù)據(jù)進(jìn)行消毒。
• 實(shí)施強(qiáng)大的訪問(wèn)控制和加密機(jī)制，并定期更新軟件以修補(bǔ)已知漏洞。

十、加密不足

此漏洞可能導(dǎo)致加密密鑰薄弱、密碼容易被猜到和/或無(wú)法實(shí)施適當(dāng)?shù)募用堋：诳屠帽∪醯募用芩惴?、可預(yù)測(cè)的密鑰生成或有缺陷的實(shí)現(xiàn)方式，利用不充分的加密漏洞。他們可以攔截和解密敏感數(shù)據(jù)、操縱交易或注入惡意代碼。不完善的加密協(xié)議允許攻擊者繞過(guò)安全措施，在未經(jīng)授權(quán)的情況下訪問(wèn)系統(tǒng)，并破壞數(shù)據(jù)的機(jī)密性、完整性和真實(shí)性，從而給組織和個(gè)人帶來(lái)嚴(yán)重風(fēng)險(xiǎn)。

防護(hù)建議：

• 采用強(qiáng)大的加密標(biāo)準(zhǔn)，如AES-256 或 RSA（SSL證書就是采用RSA算法），并提供足夠的密鑰長(zhǎng)度，以抵御暴力攻擊。
• 確保安全的密鑰生成方法和存儲(chǔ)，如硬件安全模塊（HSM）。
• 遵循 NIST SP 800-57 等行業(yè)標(biāo)準(zhǔn)，實(shí)施可信的加密算法和庫(kù)。
• 定期審核加密協(xié)議，及時(shí)處理發(fā)現(xiàn)的任何弱點(diǎn)，以加強(qiáng)防御，防范潛在漏洞。

參考鏈接：https://www.appknox.com/blog/the-ultimate-guide-to-owasp-mobile-top-10-2024